CVE-2020-25752

**Nome do software vulnerável e versões afetadas:

Enphase Envoy versões R3.x e D4.x

Descrição:

Foi descoberta uma falha em que as senhas de login do painel web, codificadas de forma rígida para as contas do instalador e da Enphase, são derivadas do hash MD5 do nome de usuário e do número de série, combinados com strings estáticas. O número de série pode ser obtido por um usuário não autenticado no endpoint da API “/info.xml”. Essas senhas podem ser facilmente calculadas por um invasor, e os usuários não conseguem alterá-las.

Recomendações:

Para as versões R3.x e D4.x do Enphase Envoy, considere desativar o recurso de login no painel web até que uma correção esteja disponível para impedir a exploração.

Restrinja o acesso ao endpoint da API “/info.xml” para minimizar o risco de recuperação do número de série.

Evite usar as senhas codificadas para as contas do instalador e da Enphase até que a falha seja resolvida.